是否可以在 html img 標簽的 src 中加載和運行腳本？

Question

我正在構建一個應用程序（不是用於生產，某種考試），它將圖像存儲在 firebase 存儲中，我不知道如何使用安全規則正確保護它們，因為 firebase 無法讀取信息（允許成員訪問資源) 來自 Firestore 數據庫。

所以我在想，讓圖像在沒有安全規則的情況下打開的最大威脅是什么。 它可能會包含不需要的圖像，其他人可以得到它們。 這些圖像並不是真正的高價值圖像，因此它們是否被損壞並不重要。

但是我想到如果有人將圖像更改為腳本並且客戶端嘗試將其加載到 html img 標簽中，會發生什么？

您還看到了哪些其他威脅？

Answer 1

您無法通過將代碼注入 img 標簽來運行代碼。 這將是瀏覽器中的一個巨大的安全漏洞（這在遙遠的過去實際上是某些瀏覽器中的一個問題）。

Firebase 存儲下載 URL 始終可供擁有 URL 的任何人訪問。 安全規則不適用。 阻止這種情況的唯一方法是在 Firebase 控制台中撤銷其令牌，這會使 URL 停止為所有人工作。

如果您想對用於加載圖像的 URL 施加一些安全性，則 URL 需要由一些后端代碼提供服務，該代碼在將圖像內容發送到客戶端之前檢查任何權限。